chiede all'utente di accedere invece dell'accesso negato?

Question

Aggiornato: Grazie all'aiuto qui ho creato la seguente soluzione:

public class CustomAuthorize : AuthorizeAttribute 
{ 
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    { 
     // Returns HTTP 401 - see comment in HttpUnauthorizedResult.cs 
     // If user is not logged in prompt 
     if (!filterContext.HttpContext.User.Identity.IsAuthenticated) 
     { 
      base.HandleUnauthorizedRequest(filterContext); 
     } 
     // Otherwise deny access 
     else 
     { 
      filterContext.Result = new RedirectToRouteResult(
       new RouteValueDictionary { 
       {"controller", "Account"}, 
       {"action", "NotAuthorized"} 
      }); 
     } 
    } 
} 

---

ho iniziato da NerdDinner e sto usando FormsAuthentication con ActiveDirectory come il mio provider di appartenenza. Ho aggiunto il supporto per i ruoli tramite il mio db con Global.asax & AccountController (sotto).

Così ora nel mio controller ho il mio attributo Autorizza impostato solo sui ruoli di admin (sotto). Il mio utente che ha effettuato l'accesso è un autore. Quando faccio clic su Elimina mi chiede di accedere anche se l'ho già fatto. Dove posso inserire la logica per restituire una vista negata dell'accesso?

Global.asax.cs

protected void Application_AuthenticateRequest(Object sender, EventArgs e) 
    { 
     HttpCookie authCookie = Context.Request.Cookies[FormsAuthentication.FormsCookieName]; 
     if (authCookie == null || authCookie.Value == "") 
     { 
      return; 
     } 

     FormsAuthenticationTicket authTicket = null; 

     try 
     { 
      authTicket = FormsAuthentication.Decrypt(authCookie.Value); 
     } 
     catch 
     { 
      return; 
     } 

     if (Context.User != null) 
     { 
      string[] roles = authTicket.UserData.Split(new char[] { ';' }); 
      Context.User = new GenericPrincipal(Context.User.Identity, roles); 
     } 
    } 

AccountController.cs

[HttpPost] 
    [System.Diagnostics.CodeAnalysis.SuppressMessage("Microsoft.Design", "CA1054:UriParametersShouldNotBeStrings", 
     Justification = "Needs to take same parameter type as Controller.Redirect()")] 
    public ActionResult LogOn(string userName, string password, bool rememberMe, string returnUrl) 
    { 

     if (!ValidateLogOn(userName, password)) 
     { 
      ViewData["rememberMe"] = rememberMe; 
      return View(); 
     } 

     // Make sure we have the username with the right capitalization 
     // since we do case sensitive checks for OpenID Claimed Identifiers later. 
     userName = this.MembershipService.GetCanonicalUsername(userName); 

     // Lookup user's (CWID) appropriate access level 
     string accessLevel = userRepository.FindUserByUserName(userName).AccessLevel.LevelName; 

     FormsAuthenticationTicket authTicket = new 
         FormsAuthenticationTicket(1, //version 
         userName, // user name 
         DateTime.Now,    //creation 
         DateTime.Now.AddMinutes(30), //Expiration 
         rememberMe, //Persistent 
         accessLevel); // hacked to use roles instead 

     string encTicket = FormsAuthentication.Encrypt(authTicket); 
     this.Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, encTicket)); 

     if (!String.IsNullOrEmpty(returnUrl)) 
     { 
      return Redirect(returnUrl); 
     } 
     else 
     { 
      return RedirectToAction("Index", "Home"); 
     } 
    } 

SpotlightController.cs

[Authorize(Roles="Admin")] 
    public ActionResult Delete(int id) 

Answer 1

Ecco ciò che AuthorizeAttribute fa, immediatamente: Controlla se l'utente corrente è autorizzato per la richiesta corrente e restituisce HHTP 401/UNAUTHORIZED se non lo sono, perché non sono registrati in tutto o non sono nell'elenco di utenti/ruoli autorizzati per la richiesta corrente.

Web forms authentication HTTP module sees this 401 response, intercepts that, and turns it into an HTTP 302 (redirect) response to the login page, se l'attributo loginUrl è configurato in web.config. Il pensiero generale è che se un utente è negato l'accesso al sito perché non è loggato, ma la prossima cosa che vorranno fare è accedere.

Poiché quello che vuoi fare è ridirezionare altrove, suggerimento di Hal di sovrascrivere HandleUnauthorizedRequest e il reindirizzamento non è irragionevole. Ricorda che se vuoi che gli utenti non autenticati visualizzino la pagina di accesso (invece che autenticata, ma non nell'elenco di utenti/ruoli consentiti), dovrai aggiungere la logica per farlo. Vorrei sconsigliare l'idea di scavalcare AuthorizeCore o OnAuthorization; nessuno di questi in realtà risolve il problema e sono molto più facili da rovinare rispetto a HandleUnauthorizedRequest.

Answer 2

Suppongo che si possa derivare da AuthorizeAttribute e poi ignorare HandleUnauthorizedRequest e mettere la vostra la propria logica di reindirizzamento lì.

Grazie,

Hal

Answer 3

In alternativa si possono ignorare l'attributo Autorizza. Sostituirai il metodo OnAuthorization e otterrai il risultato dal metodo AuthorizeCore dalla tua base. In base a tale risultato è possibile generare un'eccezione o un'eccezione personalizzata (ad esempio un'eccezione di sicurezza personalizzata che registra lo stato) direttamente da OnAuthirziation.